两天后，一封公开信呼吁暂停开发更强大的生成式AI模型，以便监管机构能够赶上ChatGPT等产品的步伐。意大利数据保护机构刚刚及时提醒人们：一些国家确实已有适用于尖端AI的法律——它已命令OpenAI立即停止在当地处理人们的个人数据。
意大利数据保护局表示，他们担心ChatGPT的开发商违反了欧盟《通用数据保护条例》（GDPR），并已展开调查。
具体而言，Garante 表示，由于担心OpenAI非法处理了人们的个人数据，以及缺乏防止未成年人访问该技术的系统，因此发布了封锁ChatGPT的命令。
这家总部位于旧金山的公司有20天的时间对命令作出回应，否则将面临严厉的处罚。（提醒：违反欧盟数据保护制度的罚款最高可达年营业额的4%或2000万欧元，以较高者为准。）
值得注意的是，由于OpenAI在欧盟内未设立法律实体，根据GDPR，任何数据保护机构若发现对当地用户存在风险，均有权介入。（因此，随着意大利采取行动，其他国家可能会跟进。）
更新： OpenAI 现已在意大利对 ChatGPT 实施地理封锁——请参阅我们的后续报道以获取更多详情。
一系列 GDPR 问题
只要处理欧盟用户的个人数据，GDPR 即适用。显然，OpenAI 的大型语言模型一直在处理此类信息，因为它可以按需生成该地区知名人物的传记（我们试过；确实如此）。尽管 OpenAI 拒绝提供用于最新一代技术 GPT-4 的训练数据细节，但它已披露早期模型是使用从互联网上抓取的数据进行训练的，包括 Reddit 等论坛。因此，如果你在网上活动较为频繁，这个机器人很可能知道你的名字。
此外，ChatGPT 已被展示为生成关于知名人物的完全虚假信息，显然是捏造其训练数据中缺乏的细节。这可能会引发进一步的 GDPR 担忧，因为该法规赋予欧洲人对其数据的一系列权利，包括更正错误的权利。目前尚不清楚人们是否可以要求 OpenAI 纠正由机器人生成的关于他们的错误声明。
Garante 的声明还强调了该服务本月早些时候遭受的一次数据泄露事件，当时 OpenAI 承认对话历史功能正在泄露用户的聊天记录，并表示这可能暴露了部分用户的支付信息。
数据泄露是 GDPR 监管的另一个领域，重点在于确保处理个人数据的实体充分保护这些信息。这项泛欧法律还要求公司在严格的时间期限内向相关监管机构通知重大泄露事件。
统领这一切的是一个大（更）问题：OpenAI 最初依据何种法律依据来处理欧洲人的数据。换句话说，就是这种处理的合法性。
GDPR 允许多种可能性——从同意到公共利益——但为了训练这些大型语言模型而进行的处理规模使合法性的问题变得复杂。正如 Garante 指出（指向“大规模收集和个人数据存储”），数据最小化是该法规的另一个重点，其中还包含要求透明度和公平性的原则。然而，至少，ChatGPT 背后的（现）营利性公司似乎没有告知那些其数据被重新用于训练其商业 AI 的人。这对它来说可能是一个相当棘手的问题。
如果 OpenAI 非法处理了欧洲人的数据，欧盟各成员国的数据保护机构（DPAs）可以命令删除这些数据，但这是否会迫使公司重新训练基于非法获取数据训练出的模型，仍是一个悬而未决的问题，因为现行法律正在努力应对尖端技术。
另一方面，意大利可能因为……呃，意外而禁止了所有机器学习……😬
数据保护局（DPA）在其今日发布的声明中写道：“[隐私保障机构]指出，OpenAI收集用户及所有相关方的数据时缺乏信息披露，更重要的是，缺乏为‘训练’平台底层算法而大规模收集和存储个人数据的法律依据。”（该声明由我们使用AI从意大利语翻译而来。）
它补充道：“根据已进行的检查，ChatGPT提供的信息并不总是与真实数据相符，从而导致对个人数据的不准确处理。”
该当局还表示，担心OpenAI会处理未成年人的数据，因为该公司未积极防止13岁以下的人注册使用该聊天机器人，例如未应用年龄验证技术。
儿童数据风险是监管机构非常活跃的领域，最近因儿童安全问题下令对虚拟友谊AI聊天机器人Replika实施类似的禁令。近年来，它还就未成年人使用问题追究TikTok的责任，迫使该公司清理超过50万个无法确认不属于儿童的账户。
因此，如果OpenAI无法最终确认其在意大利注册的用户的年龄，那么它至少可能被强制删除这些用户的账户，并采用更严格的注册流程重新开始。
Lilian Edwards是纽卡斯尔大学的数据保护和互联网法专家，她一直在研究“具有记忆功能的算法”的影响方面走在前列。她表示：“有趣的是，这份声明在强调儿童接触不当内容的问题上，几乎是对Replika案例的复制粘贴。但真正的定时炸弹在于缺乏合法依据，这应该适用于所有或至少许多机器学习系统，而不仅仅是生成式AI。”
她指向了涉及谷歌搜索的关键性“被遗忘权”案例，其中一名西班牙个人对谷歌未经同意处理其个人数据提出了挑战。但尽管欧洲法院确立了个人要求搜索引擎删除关于他们的不准确或过时信息的权利（需平衡公共利益测试），谷歌在该背景下（互联网搜索）对个人数据的处理并未因处理合法性问题而被欧盟监管机构否决，这似乎是基于其提供公共服务的理由。此外，最终也是因为谷歌向欧盟数据主体提供了删除和更正的权利。
“大型语言模型不提供这些补救措施，而且目前尚不完全清楚它们是否会、能够或产生何种后果，”爱德华兹补充道，并建议强制重新训练模型可能是潜在的解决方案之一。
或者，好吧，像 ChatGPT 这样的技术可能只是违反了数据保护法……
本报告已添加额外评论进行更新。我们还修正了监管机构名称的拼写错误。
“虚拟友谊”AI 聊天机器人 Replika 因儿童安全问题在意大利被禁止处理数据
意大利对培养肉类的禁令可能会阻碍该行业的发展